Automatização de pedidos de função elevada de recursos do Azure com o Power Automate e a Automação do Azure

param (
[Parameter(Mandatory = $true)]
[string] $subscriptionId,
[Parameter(Obrigatório = $true)]
[string] $resourceGroupName,
[Parâmetro(Obrigatório = $true)]
[string] $resourceName,
[Parâmetro(Obrigatório = $true)] [string] $resourceName, [Parâmetro(Obrigatório = $true)]
[string] $resourceType,
[Parâmetro(Obrigatório = $true)] [string] $resourceType, [Parameter(Obrigatório = $true)]
[string] $userPrincipalName,
[Parâmetro(Obrigatório = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Continuar"
$errors = @()
function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {
$credential = Get-AutomationPSCredential -Name 'SMTP Relay'
$smtpServer = 'smtp.example.com'
$smtpPort = <Int32>
$de = 'example@examplecompany.com'
$mailParams = @{
Para = $to
Assunto = $subject
Corpo = 1TP57Corpo
SmtpServer = $smtpServer
Credencial = $credencial
Porta = $smtpPort
UseSsl = $true
From = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}
try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Falha ao autenticar com o Azure utilizando a Identidade Gerida:$_"
}
try {
Set-AzContext -SubscriptionId $subscriptionId
} catch {
$errors += "Falha ao definir o contexto de subscrição do Azure:$_"
}
$roleDefinitionName = 'Contributor'
$readerRoleDefinitionName = 'Leitor'
try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Falha ao recuperar o objeto do utilizador para o UPN '$userPrincipalName': $_"
}
# Verificar se o utilizador tem a função de Leitor ao nível da subscrição
$readerRoleAssignment = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $readerRoleDefinitionName -Scope "/subscriptions/$subscriptionId" -ErrorAction SilentlyContinue
se (-not $readerRoleAssignment) {
    $noReaderRoleHtml = @"
    <h2>Não no papel de leitor</h2>

<p>Utilizador <strong>$userPrincipalName</strong> não tem o <strong>$readerRoleDefinitionName</strong> ao nível da subscrição e não pode ser adicionado à função <strong>$roleDefinitionName</strong> função para o recurso.</p>
"@
    $noReaderRoleHtml += $signature
  Send-Email -subject "Missing Reader Role" -body $noReaderRoleHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true
    retornar
}

# Verificar se o grupo de recursos existe
$resourceGroupExists = $true
$resourceGroup = Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue
se (-not $resourceGroup) {
    $errors += "O grupo de recursos '$resourceGroupName' não existe."
    $resourceGroupExists = $false
}

# Verificar se o recurso existe dentro do grupo de recursos
  $domain = "yourdomain.onmicrosoft.com"# substitua-o pelo seu domínio de inquilino AAD real

# Verifique se o recurso existe no grupo de recursos usando o nome e o tipo
$resourceExists = $false
$resourceUrl = ""
se ($resourceGroupExists) {
    $resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
    $resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }
    se ($resource) {
        $resourceExists = $true
        # Construa a URL usando o domínio, o grupo de recursos, o tipo de recurso e o nome do recurso
        $resourceUrl = "https://portal.azure.com/#@$domain/resourcegroups/$resourceGroupName/providers/$($resource.ResourceType)/$resourceName"
    } else {
        $errors += "O recurso do tipo '$resourceType' com o nome '$resourceName' não existe no grupo de recursos '$resourceGroupName'."
    }
}

# Tentar a atribuição de funções apenas se o grupo de recursos e o recurso existirem
if ($resourceGroupExists -and $resourceExists) {
    try {
        $roleAssignment = New-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction Stop
    } catch {
        if ($_.Exception -match 'Conflict') {
            # O utilizador já tem a função de Colaborador, envie uma mensagem de correio eletrónico específica
            $alreadyContributorHtml = @"
<h2>O utilizador já é um colaborador</h2> 

            <p>Utilizador<strong>$userPrincipalName</strong>já tem o<strong>$roleDefinitionName</strong>função para recurso<strong>$resourceName</strong>.</p> 

            <p>URL do recurso:<a href='$linkUrl'>$linkUrl</a></p>

"@

$alreadyContributorHtml += $signature

  Send-Email -subject "O utilizador já tem a função de contribuinte" -body $alreadyContributorHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} else {

$errors += "Falha ao atribuir a função '$roleDefinitionName' ao utilizador '$userPrincipalName': $_"

}

}

}

$signature = @" 

<p>Com os melhores cumprimentos,</p> 

<p><strong>A sua equipa de TI</strong></p>

<p><em>Esta é uma mensagem automática, por favor não responda diretamente a este e-mail.</em></p> 

"@

se ($errors) {

$errorMessageHtml = "<h2>Problemas detectados na atribuição de funções do Azure</h2><ul>"

foreach ($errorItem in $errors) {

$errorMessageHtml += "<li>$errorItem</li>"

}

$errorMessageHtml += "</ul>$signature"

  Send-Email -subject "Azure Role Assignment Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

} elseif ($roleAssignment) {

# A atribuição de funções foi bem sucedida, enviar uma mensagem de correio eletrónico de sucesso

$successMessageHtml = @"<h2>Sucesso na atribuição de funções</h2> 

    <p>Utilizador<strong>$userPrincipalName</strong>foi atribuído com sucesso o<strong>$roleDefinitionName</strong>função para recurso<strong>$resourceName</strong>.</p> 

    <p>URL do recurso:<a href='$linkUrl'>$linkUrl</a></p>

"@

$successMessageHtml += $signature

  Send-Email -subject "Azure Role Assignment Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}

  param (
[Parameter(Mandatory = $true)]
[string] $subscriptionId,
[Parameter(Obrigatório = $true)]
[string] $resourceGroupName,
[Parâmetro(Obrigatório = $true)]
[string] $resourceName,
[Parâmetro(Obrigatório = $true)] [string] $resourceName, [Parâmetro(Obrigatório = $true)]
[string] $resourceType,
[Parâmetro(Obrigatório = $true)] [string] $resourceType, [Parameter(Obrigatório = $true)]
[string] $userPrincipalName,
[Parâmetro(Obrigatório = $false)]
[string] $linkUrl
)

$ErrorActionPreference = "Continuar"
$errors = @()
$signature = @" 

 
<p>Com os melhores cumprimentos,</p> 
<p><strong>A sua equipa de TI</strong></p> 
<p><em>Esta é uma mensagem automática, por favor não responda diretamente a este e-mail.</em></p> 
"@

function Send-Email($subject, $body, $to, $cc = $null, $isBodyHtml = $false) {

$credential = Get-AutomationPSCredential -Name 'SMTP Relay'
  $smtpServer = 'smtp.example.com'
  $smtpPort =<int 32>
  $from = 'example@examplecompany.com'
$mailParams = @{
To = $to
Assunto = $subject
Corpo = 1TP57Corpo
SmtpServer = $smtpServer
Credencial = $credencial
Porta = $smtpPort
UseSsl = $true
From = $from
BodyAsHtml = $isBodyHtml
}
if ($cc) {
$mailParams['Cc'] = $cc
}
Send-MailMessage @mailParams -ErrorAction Stop
}

try {
$connection = Connect-AzAccount -Identity
} catch {
$errors += "Falha ao autenticar com o Azure utilizando a Identidade Gerida:$_"
}

try {
Set-AzContext -SubscriptionId $subscriptionId

} catch {
$errors += "Falha ao definir o contexto de subscrição do Azure:$_"
}

$roleDefinitionName = 'Contributor'

try {
$user = Get-AzADUser -UserPrincipalName $userPrincipalName -ErrorAction Stop
} catch {
$errors += "Falha ao recuperar o objeto do utilizador para o UPN '$userPrincipalName': $_"
} 

Não no papel de leitor

# Verificar se o grupo de recursos existe e obter o recurso
$resourceGroupExists = $resourceExists = $false
se ((Get-AzResourceGroup -Name $resourceGroupName -ErrorAction SilentlyContinue)) {
$resourceGroupExists = $true
$resources = Get-AzResource -ResourceGroupName $resourceGroupName -ResourceType $resourceType -Name $resourceName -ErrorAction SilentlyContinue
$resource = $resources | Where-Object { $_.ResourceType -eq $resourceType -and $_.Name -eq $resourceName }

if ($resource) {

$resourceExists = $true

} else {
$errors += "O recurso do tipo '$resourceType' com o nome '$resourceName' não existe no grupo de recursos '$resourceGroupName'."
}
} else {

$errors += "O grupo de recursos '$resourceGroupName' não existe."
}

# Tentativa de remover a atribuição de função se o grupo de recursos e o recurso existirem

if ($resourceGroupExists -and $resourceExists) {
try {

$roleAssignments = Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue

foreach ($roleAssignment in $roleAssignments) {

# Nota: A supressão de confirmação funcionará se o cmdlet a suportar.
Remove-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -Confirm:$false

}

# Verificar se as atribuições de funções foram removidas com êxito
if (-not (Get-AzRoleAssignment -ObjectId $user.Id -RoleDefinitionName $roleDefinitionName -Scope $resource.ResourceId -ErrorAction SilentlyContinue)) {

# Se a remoção for bem-sucedida, enviar um e-mail de sucesso
$successMessageHtml = @"<h2>Sucesso na remoção de papéis</h2> 
            <p>Utilizador<strong>$userPrincipalName</strong>foi removido com sucesso do<strong>$roleDefinitionName</strong>função para recurso<strong>$resourceName</strong>.</p>
            <p>URL do recurso:<a href='$linkUrl'>$linkUrl</a></p> 
"@
$successMessageHtml += $signature
  Send-Email -subject "Azure Role Removal Success" -body $successMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com " -isBodyHtml $true
} else {
$errors += "A função '$roleDefinitionName' ainda existe para o utilizador '$userPrincipalName' após tentativa de remoção."
}

} catch {
$errors += "Falha ao remover a função '$roleDefinitionName' do utilizador '$userPrincipalName': $_"
}

}

if ($errors) {
$errorMessageHtml = "<h2>Problemas detectados na remoção de funções do Azure</h2><ul>"
foreach ($errorItem in $errors) {
$errorMessageHtml += "<li>$errorItem</li>"
}
$errorMessageHtml += "</ul>$signature"
  Send-Email -subject "Azure Role Removal Issues" -body $errorMessageHtml -to $userPrincipalName -cc "itadministrator@examplecompany.com" -isBodyHtml $true

}